国枫观察 | 由项目实践解析重要数据的识别

发布时间：2026.07.20

来源：

浏览量：95

从数据出境安全评估到境内外上市数据合规等各类项目中，监管部门始终关注“重要数据”。本文通过梳理相关国家标准与行业指南等重要数据识别依据，结合笔者的项目实践经验，提示企业作为数据处理者应始终保持重要数据识别的合规意识，企业内各部门应充分协同支撑重要数据的识别过程，并提出结合业务与场景保持动态持续关注，以期为数据处理者及合规从业者提供实务参照。

作者：龚琳、潘凯文、蔡浩辉

随着《数据安全法》《网络数据安全管理条例》的深入实施，重要数据的识别与合规处理已然从理论原则的规定逐步落地为数据合规业务中的基础性、强制性工作。从数据出境安全评估到境内外上市数据合规等各类项目中，监管部门始终关注“重要数据”。本文通过梳理相关国家标准与行业指南等重要数据识别依据，提示企业作为数据处理者应始终保持重要数据识别的合规意识，阐明主营业务部门、网络安全部门、法务合规部门等应充分协同支撑重要数据的识别过程，并提出结合业务与场景动态持续关注、夯实数据分类分级基础的实践路径，以期为数据处理者及合规从业者提供参照。

一、必答：识别重要数据

近年来，数据合规项目逐步从个人信息保护单核驱动，转向个人信息与重要数据双轮并重。

2022年《数据出境安全评估办法》正式施行，明确规定数据处理者向境外提供重要数据，应当通过所在地省级网信部门向国家网信部门申报数据出境安全评估。于是，数据出境安全评估项目在全国范围内陆续启动，该类项目首当其冲需要解决的问题是：如何自主识别企业是否存在重要数据，如何最终确认企业是否处理重要数据。

而在资本市场，《境内企业境外发行证券和上市管理试行办法》明确规定境内企业境外发行上市涉及向境外提供重要数据等的，应当符合法律、行政法规和国家有关规定。目前，境内企业赴境外上市活跃，在相关数据合规核查项目中，识别发行人是否涉及以及如何保障重要数据的处理，同样成为中国证券监督管理委员会、香港联合交易所有限公司等监管部门及相关交易所关注的重点。

由此，什么是重要数据？如何找到识别依据？如何实践识别过程？一系列基础且核心的问题被推至台前。

《网络数据安全管理条例》对重要数据的定义是“特定领域、特定群体、特定区域或者达到一定精度和规模，一旦遭到篡改、破坏、泄露或者非法获取、非法利用，可能直接危害国家安全、经济运行、社会稳定、公共健康和安全的数据”。《数据安全技术数据分类分级规则》（GB/T 43697-2024，以下简称“《43697国标》”）对重要数据（key data）的定义和《网络数据安全管理条例》基本保持一致，并进一步注明“仅影响组织自身或公民个体的数据一般不作为重要数据”，亦即将判定锚点稳固在“国家安全、经济运行、社会稳定、公共健康和安全”的后果维度。

在笔者的项目实践中，有所涉行业领域已经发布重要数据识别指南的情形，还有企业已被主管部门通知识别并填写重要数据目录的情形，亦有企业结合相关自贸区数据出境负面清单自主判断是否涉及重要数据处理的情形。一些企业尚未对数据进行梳理与分类分级，重要数据识别工作任重道远；一些企业虽已自主识别重要数据，但以为一劳永逸而未持续关注。在这一系列项目实践中，无论是企业自身抑或服务机构，都已能深刻感受到，重要数据的识别、合规处理、重点保护等事项已经成为企业数据合规的“必答题”。

二、必需：建立识别意识

企业作为数据处理者，首先应当在公司治理层面建立重要数据识别的意识。这绝非仅是应对检查的“过场”，而是《数据安全法》《网络数据安全管理条例》等法律法规言明的法定义务，更是企业规范经营、稳健发展的保障。

从义务本源看，《数据安全法》第二十七条要求重要数据处理者明确数据安全负责人和管理机构，落实数据安全保护责任；第三十条要求对其数据处理活动定期开展风险评估，并向有关主管部门报送风险评估报告；第三十一条则专设重要数据出境安全管理要求。上述条款在《网络数据安全管理条例》中被进一步细化：第二十九条明确各地区、各部门确定重要数据具体目录，网络数据处理者应当识别、申报；第三十条要求重要数据处理者明确网络数据安全负责人和管理机构，并履行安全风险监测、应急演练等职责；第三十三条更规定每年度的风险评估报告应包含数据出境情况、提供委托处理情况等数项内容。由此可见，识别重要数据是触发后续一系列重要义务的“开关”，不识别或错误识别，都有可能使企业游离于法律要求的重点保护之外，面临责令改正、罚款乃至停业风险。

从商业理性看，建立识别意识可避免“突发式”合规休克。正如《43697国标》注明的“仅影响组织自身或公民个体的数据一般不作为重要数据”，企业内部经营管理信息、商业秘密，如泄露仅影响自身权益，则非法定重要数据；但如该等技术数据落入《中国禁止出口限制出口技术目录》，或业务场景切换至国防科工供应链，则可能直接危害国家安全，从而转化为重要数据。因此，如企业抱有“我们是普通民企，定无重要数据”的侥幸心态，则在数量规模积累至百万级用户、或承接政府敏感订单时仍沿用一般数据防护时，便极可能埋下巨大隐患。

三、必经：找到识别依据

重要数据识别意识到位后，如何找到适配的识别依据，是企业面临的第二关。

依据《网络数据安全管理条例》及《43697国标》，重要数据识别主要遵循“地区、行业主管（监管）部门制定目录”+“告知或公开发布”+“数据处理者自主识别申报”的路径。因此，重要数据的识别首先必须结合地区和行业。

在项目实践中，我们通常将重要数据的识别依据划分为“通用”和“特定”两大类。“通用”，系指任一类型数据处理者均可参考的识别标准，主要是《43697国标》附录G（规范性）重要数据识别指南。该附录在《43697国标》6.5b)基础上，列举了a)至r)等识别因素，企业无论隶属何种行业，在自主识别时均可将业务数据映射至上述因素，判断是否存在“直接关系国家安全、经济运行、社会稳定、公共健康和安全”的定性或定量契合。“特定”，系指针对特定项目所梳理的个性化识别标准。

笔者梳理了部分公开发布的涉及相关领域重要数据识别原则、识别标准的参考文件如下：

关于“特定”，从一些业界专业人士撰写的解读文章中可知，实践中存在未予公示的特定地区或行业相关的重要数据识别参考。例如国家卫生健康委、国家中医药局、国家疾控局关于适用于卫生健康主管部门和医疗卫生机构管辖范围内数据的《卫生健康行业数据分类分级指南（试行）》，其中将“涉及100万人及以上个人信息或10万人及以上敏感个人信息；全国性的业务数据，如涉及10万人的群体健康生理状况数据等”原则上纳入重要数据的建议范围。针对此类未在主管部门官网公示的识别参考文件，我们认为，结合《网络数据安全管理条例》关于“对确认为重要数据的，相关地区、部门应当及时向网络数据处理者告知或者公开发布”的规定，以及《促进和规范数据跨境流动规定》（以下简称“《数据跨境新规》”）关于“未被相关部门、地区告知或者公开发布为重要数据的，数据处理者不需要作为重要数据申报数据出境安全评估”的规定，如企业未收到相关告知，亦无法从主管部门官方公开渠道得知的，从文义解释而言，企业可不以此作为重要数据识别的标准。然而，企业并未因此豁免进行重要数据识别的法定义务。由于重要数据的判定锚点是“国家安全、经济运行、社会稳定、公共健康和安全”的后果维度，企业仍应参照前述行业指南与国标附录，主动形成内部重要数据清单，方能在监管问询时从容应对。

除此以外，如果企业所处地区或行业尚未公开发布相关识别指南类参考文件，从审慎识别的角度而言，建议企业还可进一步参考各自贸区负面清单中的相关规定作为辅助参考。例如涉及医药类项目时，可参考《中国（北京）自由贸易试验区、国家服务业扩大开放综合示范区数据出境管理清单（负面清单）（2025版）》中关于医药行业的规定，其中针对需要通过数据出境安全评估的数据清单中“重要数据”类别，划分为“10 万人以上的群体诊疗、健康生理状况、医疗救援保障数据、特定药品实验数据、特殊病种的分析结果及所涉及的源数据等”“1 万人以上的特定领域、特定群体、特定区域的生物特征数据，医疗资源数据”“未披露且能够反映前沿生物技术研发情况的药品生产数据以及其他特定药品的试验数据和生产数据”及“用于反映并优化特定药品安全性、有效性和质量可控性的研究数据”不同数据子类，并对数据基本特征等做出进一步描述，从定性和定量不同维度使得重要数据的识别更具备可操作性。目前，已有天津、北京、海南、上海、浙江、广西、江苏、重庆、福建9地陆续发布数据出境相关的负面清单，涉及汽车、零售、民航、再保险、深海产业、种业、地理信息与气象、企业信用信息等22个领域，客观上亦丰富了重要数据的识别参考依据。

四、必要：重视识别过程

找到了识别依据，并不意味着识别工作可由企业网络安全部门或法务合规部门“闭门造车”完成。恰恰相反，企业必须重视识别过程，这是需业务纵深参与的必备动作。

以《工业领域重要数据识别指南》设定的流程为例，工业数据处理者的重要数据识别分为四个阶段：数据资产梳理→重要数据识别→内部审批→目录备案。其中“数据资产梳理”明确要求组织研发、生产、运维等部门全面盘点，形成数据资产清单并分类。在“重要数据识别”阶段，需参照6个维度逐一研判。试想，如无业务部门共同参与识别，未能披露“我们在***中使用了何种控制指令”“我们向***关键信息基础设施运营者或某军工单位供应了何种特种钢材成分”，则其他部门无法意识到相关数据可能落入“行业特色－钢铁－特钢成分体系”的重要数据范畴。

《电信领域重要数据识别指南》更进一步，在“5.2组建工作团队”中明确：团队由管理层、相关业务负责人、数据安全人员组成，必要时聘专家；成员需涵盖涉及重要数据的各个业务线，熟悉数据量级、出境、风险评估等情况。若委托第三方，亦需指定本单位数据安全专业对接人。该设计旨在破解“合规不知业务，业务不懂合规”的断层。

故此，识别过程是跨部门协同治理过程，甚至需上升至最高管理层统筹，因为《网络数据安全管理条例》第三十条要求数据安全负责人由管理层成员担任，有权直接报告。

五、必然：动态持续关注

重要数据识别绝非“做一次识别梳理即一劳永逸”。《43697国标》第6.6 h)及《网络数据安全管理条例》均明确：根据数据重要程度和可能造成的危害程度变化，应对数据级别进行动态更新。近年来，不同行业陆续以公开或试点方式发布自身分类分级标准及重要数据识别原则，建议企业应保持与主管部门沟通，展现积极主动性。

其一，结合细分行业、具体场景落实识别。以汽车为例，《汽车数据出境安全指引（2026）》针对重要数据判定，划分了研发设计场景（进一步细分为产品研发、产品测试）、生产制造场景、驾驶自动化场景、软件升级服务场景、联网运行场景（进一步细分为车辆数据、车路感知、车路分析、车联网平台运营）和其他。再如工业领域，《工业领域重要数据识别指南》中的工业领域包括钢铁、有色、稀土、石化、化工、建材、汽车、通用机械、专用机械、民用飞机、民用船舶、轻工、纺织、家电、食品、医药、电子、民爆、节能、软件和信息技术服务等细分行业。企业若停留在两年前的认知，恐有漏判。

其二，动态持续关注监管态势。根据部分地方通信管理局近年来试点，会建立属地数据安全风险防控重点企业名录，组织企业按规则识别认定、目录备案，并专题评审指导。这种“监管主导+企业报送”模式正被多行业借鉴。企业若被动等待“被通知是重要数据”，可能错失自查整改窗口。及时主动识别并积极对接监管，恰能证明《网络数据安全管理条例》要求的“明确责任、风险防控”已落到实处。

其三，数据分类分级是基础，审慎适配管理是必备。《43697国标》规定数据处理者应先确定行业领域，按业务属性分类，再识别分级要素（领域、群体、区域、精度、规模、深度、覆盖度、重要性）。若企业未建立数据分类标签，重要数据识别便成空中楼阁。同时，即便当前尚未处理重要数据，企业亦应为重要数据处理者合规义务做充分准备：例如预设数据安全负责人岗位、规划容灾备份能力、嵌入出境评估流程，以免业务突进至重要数据规模时措手不及。

结语

近年来的数据合规项目中，重要数据识别已成为不可绕开的“必答题”。企业需以法定义务为锚，建立识别意识，找对识别依据，协同识别为径，持续跟踪为擎。数据律师在此过程中，不仅是规则翻译者，更是企业数据治理架构的搭建伙伴。唯有纲举目张、鉴机识变，方能在安全与发展间寻得平衡，为企业在数字经济大浪潮中稳健前行保驾护航。